La sovranità dei dati rischia di sembrare un tema riservato ai governi o ai grandi fornitori tecnologici. In realtà entra ogni giorno nelle scelte di un’impresa: dove vengono conservati gli ordini, chi può accedere ai dati di produzione, quali servizi esterni elaborano le informazioni dei clienti e quanto sarebbe difficile trasferire tutto a un altro fornitore.
La consultazione mirata aperta dalla Commissione europea l’8 luglio 2026 rende il tema particolarmente attuale. La Commissione raccoglie contributi fino all’8 settembre sulle dipendenze che riguardano le organizzazioni europee, sugli ostacoli ai flussi internazionali e sui rischi di accesso da Paesi terzi a dati sensibili. Non è un nuovo obbligo per le imprese, né impone di localizzare automaticamente ogni dato nell’Unione. È però un segnale utile: le dipendenze digitali devono diventare conoscibili e governabili.
Per molte aziende il punto di partenza più concreto è l’ERP, perché è lì che convergono anagrafiche, ordini, acquisti, produzione, contabilità e informazioni sui fornitori. Ma l’ERP non coincide più con un unico database sotto il controllo diretto dell’organizzazione. Si appoggia a cloud, integrazioni API, piattaforme di analytics, backup, sistemi documentali e servizi gestiti. La sovranità dei dati comincia quindi da una mappa, non da uno slogan.
Sovranità non significa chiudere i dati in un confine
La Data Union Strategy della Commissione europea combina tre obiettivi: aumentare l’accesso a dati di qualità, semplificare le regole e rafforzare la posizione europea nei flussi internazionali. L’idea di sovranità proposta dalla strategia non è isolamento. È apertura verso partner affidabili, a condizioni eque, sicure e coerenti con i valori e gli interessi europei.
Tradotto in governance aziendale, essere sovrani non vuol dire possedere fisicamente ogni server. Vuol dire poter rispondere a domande operative: quali dati esistono, dove sono trattati, chi li controlla, quale legge o contratto disciplina l’accesso, come vengono recuperati e cosa accade se un servizio non è più disponibile.
Un ambiente può essere ospitato in Europa e restare fortemente dipendente da formati proprietari, competenze esterne o componenti non sostituibili. Al contrario, un servizio distribuito su più infrastrutture può essere governato bene se l’impresa conosce i flussi, limita gli accessi, conserva le evidenze e ha provato una strategia di uscita. La localizzazione è una variabile; il controllo effettivo è il risultato di architettura, contratti e processi.
L’ERP mostra soltanto una parte della catena
Il gestionale centrale offre una vista importante, ma non completa. Un ordine può nascere nell’e-commerce, passare attraverso un connettore, essere registrato nell’ERP, alimentare un servizio di previsione della domanda e finire in un data warehouse. Una fattura può essere archiviata da un fornitore diverso da quello che gestisce l’applicazione amministrativa. Il backup può dipendere dalla stessa infrastruttura del sistema principale, creando una concentrazione invisibile.
Per questo l’inventario non deve elencare soltanto applicazioni e contratti. Per ogni processo critico dovrebbe associare almeno:
- categorie di dati e livello di sensibilità;
- sistema di origine e copie derivate;
- fornitori, subfornitori e località di trattamento conosciute;
- interfacce, formati di esportazione e frequenza dei flussi;
- identità amministrative e modalità di accesso remoto;
- tempi di conservazione, backup e ripristino;
- proprietario aziendale della decisione e referente tecnico.
Il valore della mappa emerge quando collega i dati al processo. Sapere che esiste un database clienti è insufficiente se non è chiaro quali attività commerciali si fermerebbero, chi potrebbe ricostruire le relazioni e quali integrazioni smetterebbero di funzionare.
Il test decisivo è l’uscita, non la promessa di portabilità
Il Data Act si applica dal 12 settembre 2025 e il suo capitolo VI stabilisce regole per facilitare il passaggio tra servizi di trattamento dati e l’uso parallelo di più fornitori. La disciplina riguarda ostacoli contrattuali, commerciali e tecnici, oltre alla disponibilità di interfacce e informazioni utili al trasferimento.
Il regolamento prevede inoltre la progressiva eliminazione dei costi di switching: fino al 12 gennaio 2027 possono essere richiesti costi ridotti, entro i limiti stabiliti; dal 12 gennaio 2027 i fornitori non potranno imporre costi di switching per le operazioni necessarie al passaggio. Il riferimento resta il Regolamento (UE) 2023/2854, in particolare gli articoli 23-30. Questa evoluzione riduce alcune barriere, ma non rende automaticamente semplice una migrazione.
Il problema più costoso può essere semantico: tabelle esportabili ma prive delle relazioni che danno significato ai dati, allegati separati dai record, configurazioni non documentate, workflow che esistono solo nel prodotto del fornitore. Anche quando i file vengono consegnati, può mancare la capacità di riutilizzarli senza interrompere il processo.
Un test di uscita dovrebbe quindi verificare un campione reale. L’impresa può esportare clienti, ordini, documenti e registri di audit? I dati sono leggibili da strumenti indipendenti? Le autorizzazioni e le relazioni vengono ricostruite? Quanto tempo serve? Quali attività restano manuali? Una risposta provata vale più di una clausola generica sulla portabilità.
Contratti cloud: trasformare i requisiti in domande verificabili
La Commissione ha pubblicato clausole contrattuali standard non vincolanti per i servizi cloud. Sono modelli volontari, modificabili dalle parti, pensati anche per aiutare le PMI ad affrontare switching, cessazione, sicurezza, continuità operativa e responsabilità.
Non sostituiscono la negoziazione né la valutazione legale del contratto concreto. Offrono però una griglia utile per acquisti, IT e direzione: il fornitore descrive tutti i dati esportabili? Indica formati, strumenti e tempi? Distingue cessazione, cancellazione e conservazione? Collabora con il fornitore di destinazione? Comunica gli incidenti rilevanti durante la migrazione? Specifica subfornitori e cambiamenti sostanziali?
Queste domande dovrebbero entrare nella selezione prima della firma. Inserirle soltanto al rinnovo, quando il sistema è già integrato nei processi, riduce il potere negoziale e aumenta il costo del cambiamento.
Una matrice pratica per direzione, IT e acquisti
La governance può partire da una matrice semplice, ordinata per processo critico. Per ogni area — vendite, produzione, amministrazione, assistenza — si assegna un livello a quattro dimensioni:
- controllo, cioè chiarezza su dati, accessi e responsabilità;
- trasferibilità, misurata con esportazioni e ripristini realmente provati;
- concentrazione, valutando quante funzioni dipendono dallo stesso fornitore o dalla stessa infrastruttura;
- sostituibilità, considerando alternative, competenze interne e tempo necessario al passaggio.
Le priorità non coincidono sempre con i sistemi più costosi. Un piccolo connettore può essere il punto senza il quale ordini e fatture non arrivano all’ERP. Un servizio di identità condiviso può bloccare più applicazioni contemporaneamente. Un archivio apparentemente secondario può custodire le evidenze necessarie per clienti, revisori o autorità.
La matrice deve produrre azioni: documentare un flusso, separare le credenziali di emergenza, aggiungere un’esportazione periodica, provare un ripristino, rinegoziare una clausola, sviluppare una competenza interna o approvare consapevolmente un rischio residuo. Senza proprietario e data di verifica, l’inventario torna presto a essere una fotografia obsoleta.
Dalla consultazione europea a una decisione aziendale
La consultazione sulla sovranità dei dati non obbliga un’impresa a cambiare ERP o cloud. Offre però un’occasione per anticipare una domanda destinata a diventare sempre più frequente: quanto dipende il nostro business da dati e servizi che non sapremmo trasferire, ricostruire o controllare?
La risposta non richiede necessariamente un progetto gigantesco. Può iniziare con tre processi critici, un diagramma dei flussi, la lettura dei contratti e una prova di esportazione. L’obiettivo non è eliminare ogni dipendenza, cosa spesso irrealistica, ma distinguere quelle scelte e presidiate da quelle che l’organizzazione ha semplicemente ereditato.
Un ERP ben governato diventa così il punto di raccordo tra strategia dei dati, continuità operativa e controllo dei fornitori. La sovranità non è l’assenza di relazioni esterne: è la capacità di conoscerle, negoziarle e cambiarle senza perdere il controllo del processo aziendale.
Nota di trasparenza: questo articolo e le immagini collegate sono stati realizzati in parte con l’utilizzo dell’intelligenza artificiale, con supervisione e responsabilità editoriale umana.